CVE-2026-75650 Magento exige uma resposta coordenada de segurança, desenvolvimento e operação. Não basta instalar um arquivo e considerar o incidente encerrado: a equipe precisa confirmar a versão, selecionar o hotfix correspondente, preservar evidências, rotacionar as chaves de criptografia e validar os fluxos comerciais da loja.
Em 21 de setembro de 2026, a Adobe informou que o CVE-2026-75650 era um zero-day explorado contra comerciantes e que poderia permitir execução arbitrária de código sem autenticação. A orientação foi aplicar imediatamente a correção indicada, conforme o comunicado oficial do APSB26-146.
Qual é o impacto do CVE-2026-75650 no Magento?
Uma vulnerabilidade capaz de permitir execução de código sem autenticação deve ser tratada como risco para toda a aplicação. Dependendo do ambiente e de eventual exploração, podem ficar expostos código, configurações, credenciais acessíveis ao processo da aplicação, integrações e dados processados pela loja.
Para operações brasileiras, a análise também deve considerar módulos de PIX, cartão, antifraude, ERP, marketplaces, cálculo de frete e emissão fiscal. Isso não significa que esses serviços tenham sido comprometidos, mas que credenciais e chamadas realizadas pelo Magento precisam entrar no inventário defensivo.
A Adobe relaciona como afetadas versões até 2.4.9-2026-aug, 2.4.8-2026-aug, 2.4.7-2026-aug, 2.4.6-2026-aug, 2.4.5-2026-aug e 2.4.4-2026-aug, incluindo linhas correspondentes do Magento Open Source. A combinação aplicável deve ser conferida na tabela do boletim de segurança APSB26-146, sem presumir que um único arquivo serve para todas as versões.
CVE-2026-75650 Magento: checklist defensivo em 9 passos
1. Confirme a edição, a versão e os patches existentes
Antes de baixar qualquer correção, registre se o ambiente usa Magento Open Source ou Adobe Commerce, a versão completa instalada e os patches já aplicados. Em uma cópia controlada do projeto, os comandos abaixo ajudam a reunir parte dessas informações:
php bin/magento --version
composer show magento/product-community-edition
composer show magento/product-enterprise-edition
composer show magento/magento-cloud-metapackageAlguns pacotes não existirão em todas as edições. Consulte também o arquivo composer.lock, o histórico do repositório e os artefatos do pipeline. Não determine a versão apenas pela interface do Admin ou pelo nome de uma pasta arquivada.
2. Escolha o hotfix pela matriz oficial
O comunicado informa hotfixes para linhas do Adobe Commerce e Magento Open Source entre 2.4.4 e 2.4.7 e orienta aplicar a correção correspondente, além de rotacionar as chaves de criptografia. Como o escopo publicado também relaciona versões posteriores, consulte a combinação exata de versão, edição e método de correção no aviso técnico da Adobe antes de alterar o projeto.
Não renomeie um patch para fazê-lo parecer compatível nem force sua aplicação quando houver conflitos. Um erro pode indicar divergência de versão, alteração local em arquivo afetado ou correção anterior já incorporada.
3. Preserve evidências antes de limpar o ambiente
Faça backup consistente do banco de dados, código, composer.lock, arquivos de configuração e logs. Registre hashes ou outra identificação dos artefatos quando isso fizer parte do procedimento interno. Preserve logs do servidor web, PHP, aplicação, CDN, WAF, balanceador e autenticação administrativa pelo período disponível.
Não apague arquivos desconhecidos nem limpe todos os registros antes da coleta. Se houver sinais de invasão, isole o ambiente conforme o plano de resposta a incidentes e envolva profissionais de segurança. Aplicar o hotfix fecha a vulnerabilidade, mas não remove automaticamente persistências ou acessos criados anteriormente.
4. Teste a correção em uma réplica representativa
Use homologação com a mesma versão do PHP, dependências do Composer, módulos e customizações de produção. Aplique apenas o hotfix correto e registre arquivos alterados, mensagens de conflito, tempo de manutenção e comandos executados.
Compare o comportamento antes e depois da correção. Se a instalação provocar indisponibilidade, siga um diagnóstico estruturado como o roteiro para recuperar o Magento após um deploy, em vez de apagar caches e arquivos gerados indiscriminadamente.
5. Planeje implantação e reversão
Defina responsáveis, janela controlada, critério de interrupção e rollback. O pacote corrigido deve entrar no repositório ou no mecanismo de artefatos usado pela empresa, evitando alterações manuais que desaparecerão no próximo deploy.
Confira espaço em disco, permissões, saúde do banco, cache, busca e filas antes de começar. Pause somente consumidores e rotinas que realmente precisem ser interrompidos. Em ambientes com múltiplos nós, confirme que todos recebem o mesmo código.
6. Aplique o hotfix e comprove o resultado
Siga o método publicado para o artefato correspondente. Guarde a saída integral da aplicação e confirme que não houve rejeição parcial. Depois, verifique o estado do código em cada nó e execute os procedimentos normais de compilação, conteúdo estático e cache exigidos pelo modelo de implantação da loja.
Se o patch tiver o mesmo nome de outro arquivo armazenado anteriormente, valide também sua origem e integridade. O objetivo é impedir que um pipeline futuro restaure uma cópia incorreta. O checklist sobre controle de artefatos de patches Magento ajuda a organizar essa verificação.
7. Rotacione as chaves de criptografia com cautela
A Adobe orienta rotacionar as chaves de criptografia após a aplicação do hotfix, conforme o comunicado do CVE-2026-75650. Essa etapa deve seguir o procedimento oficial aplicável à edição e à arquitetura da loja.
Não substitua manualmente valores em app/etc/env.php sem entender os efeitos. Dados criptografados usados por configurações e integrações podem se tornar ilegíveis se a rotação for incompleta. Faça backup, limite o acesso às chaves e valide credenciais armazenadas depois do procedimento.
8. Revogue acessos e procure sinais de comprometimento
Revise usuários administrativos, integrações, tokens, chaves de API, contas de infraestrutura e credenciais disponíveis à aplicação. Procure criações ou alterações não reconhecidas, mudanças em permissões, tarefas agendadas inesperadas, arquivos modificados fora do deploy e conexões incomuns.
A ausência de um alerta no Admin não comprova que o ambiente esteja limpo. Quando houver indícios, considere reconstruir servidores a partir de imagens confiáveis e rotacionar segredos relacionados, em vez de apenas remover o arquivo suspeito.
9. Valide a operação comercial de ponta a ponta
Após o hotfix e a rotação, teste ao menos:
- login no Admin, permissões e autenticação adicional;
- cadastro, login e recuperação de senha do cliente;
- produto simples e configurável no carrinho;
- cálculo de CEP, frete, descontos e impostos;
- checkout como visitante e cliente autenticado;
- PIX, cartão e outros métodos habilitados, sem cobrança real desnecessária;
- criação de pedido, fatura, envio, cancelamento e reembolso em homologação;
- webhooks, filas, cron, ERP, antifraude e marketplaces;
- logs de aplicação, PHP e servidor web após os testes.
Em pagamentos, compare os identificadores do Magento e do provedor para evitar duplicidade. Se houver divergência entre cobrança e pedido, use o procedimento de diagnóstico para localizar onde a venda parou.
O hotfix encerra a resposta ao incidente?
Não. A correção reduz a exposição ao vetor conhecido, enquanto a investigação verifica se ocorreu atividade anterior e a rotação limita o uso de segredos potencialmente expostos. Documente a versão, o artefato aplicado, os resultados dos testes, as credenciais rotacionadas e as evidências revisadas.
O tratamento do CVE-2026-75650 Magento deve combinar correção, análise defensiva e validação comercial. Se sua equipe não consegue confirmar a versão, aplicar o hotfix ou avaliar os efeitos no checkout, busque suporte Magento especializado antes de improvisar diretamente em produção.
Perguntas frequentes
Como saber se minha versão do Magento está afetada pelo CVE-2026-75650?
Identifique a edição e a versão completa instalada, incluindo o sufixo de atualização, e compare-as com a matriz do APSB26-146. Consulte também o composer.lock e o histórico de patches, pois o número exibido no Admin pode não representar sozinho todo o estado do código.
Qual hotfix aplicar no Magento Open Source 2.4.6 ou 2.4.7?
Use somente o hotfix indicado pela Adobe para a linha e a edição exatas da loja. Não reaproveite um arquivo destinado a outra versão. Se houver conflito, investigue customizações, patches anteriores e divergências do pacote antes de forçar a aplicação.
É necessário rotacionar as chaves de criptografia depois do patch?
Sim. A Adobe inclui a rotação das chaves de criptografia em sua orientação. Faça isso após backup e conforme o procedimento oficial aplicável, pois uma alteração manual ou incompleta pode tornar configurações criptografadas ilegíveis.
Como validar checkout, PIX, webhooks e integrações após o hotfix?
Execute pedidos controlados em homologação, confira pedido e pagamento nos dois lados, valide notificações, filas, cron e retornos do ERP. Monitore os logs e só conclua a mudança quando os identificadores e estados estiverem coerentes.
Fontes consultadas
As informações atuais mencionadas neste artigo foram verificadas nas fontes abaixo.
